Atlassianova napaka je dobila izkoriščanje v nekaj urah

Po objavi dokazne kode 6. oktobra 2026 so se v nekaj urah začeli poskusi izrabe napake CVE-2026-21589 v Atlassianovih izdelkih Data Center; SecurityWeek navaja, da je podjetje Previdian do 8. oktobra na vabnih strežnikih zabeležilo 190 poskusov z 32 naslovov IP iz desetih držav. Ti podatki kažejo hitrost poskusov, ne števila kompromitiranih namestitev.

Atlassianovo varnostno obvestilo z dne 5. oktobra navaja osem prizadetih izdelkov in njihove popravljene izdaje. Neprijavljen napadalec lahko doseže določene datoteke v korenskem imeniku spletne aplikacije, če pozna njihovo natančno ime in pot. Skrbniki prizadetih samostojnih namestitev morajo zato preveriti različico vsakega izdelka in namestiti ustrezen popravek.

Zakaj natančna pot ni zaščita

Napaka ne omogoča pregledovanja imenikov: napadalec mora vedeti, katero datoteko želi prebrati. To omejuje naključno iskanje, vendar so poti do nekaterih konfiguracijskih datotek znane iz običajnih namestitev in dokumentacije. Če je na takšni poti shranjena poverilnica, je lahko že uspešen dostop do ene datoteke dovolj za širši poseg v povezane storitve.

V analizi watchTowr Labs so raziskovalci opisali, kako komponenta za spletne vire pretvori zaporedje dvojnega dvopičja v poševnico in tako omogoči sestavljanje poti do datoteke. V preizkusni postavitvi Jira, povezani s sistemom za upravljanje identitet Crowd, so dosegli datoteko WEB-INF/classes/crowd.properties. Ta je vsebovala ime aplikacije, naslov Crowd in geslo aplikacije v nešifrirani obliki.

S pridobljenimi poverilnicami so raziskovalci v tej postavitvi ustvarili uporabnika in ga dodali v skupino skrbnikov Jira. Neposreden dostop do Crowd so opisali z besedami »basically game over«. Takšen nadaljnji poseg je odvisen od konfiguracije povezave in dostopnosti Crowd, izpostavitev konfiguracijske datoteke pa že sama zahteva obravnavo morebitnega razkritja poverilnic.

Meja napake je korenski imenik prizadete spletne aplikacije. To je pomembno pri oceni, katere datoteke so lahko dosegljive, vendar ne spremeni nevarnosti za podatke, ki so v tem imeniku dejansko shranjeni. Pri namestitvi Jira s povezavo Crowd je zato poleg popravka pomembno ugotoviti, ali so bile aplikacijske poverilnice lahko prebrane in uporabljene.

Popravljene izdaje po izdelkih

Seznam zajema izdelke Data Center ter Crucible in Fisheye. Popravljene različice je treba primerjati z dejansko nameščeno vejo posameznega izdelka; višja številka iz druge veje sama po sebi ni merilo za izbiro posodobitve. Objavljene popravljene izdaje so:

• Bitbucket Data Center: 9.4.26, 10.2.8 ali 10.5.1.
• Confluence Data Center: 9.2.26 ali 10.2.19.
• Jira Service Management Data Center: 5.12.40, 10.3.26 ali 11.3.12.
• Jira Software Data Center: 9.12.40, 10.3.26 ali 11.3.12.
• Bamboo Data Center: 10.2.24 ali 12.1.12.
• Crowd Data Center: 6.3.7, 7.0.3, 7.1.7 ali 7.2.4.
• Crucible: 4.9.15.
• Fisheye: 4.9.15.

Prizadete so izdaje pred ustreznimi popravljenimi različicami. Če namestitev teče na starejši veji, za katero ni navedenega popravka, je potreben prehod na podprto popravljeno izdajo. V okolju z več Atlassianovimi izdelki je treba preveriti vsako namestitev posebej: posodobitev Jira ne posodobi tudi Confluence, Bitbucket ali Crowd. Enako velja za posamezna vozlišča gruče, pri začasnih pravilih za Bitbucket pa tudi za njegove zrcalne strežnike.

Atlassianove storitve Cloud imajo drugačen status: prizadete storitve so bile popravljene, podjetje pa v svoji preiskavi ni našlo dokazov o izrabi v tem okolju. Navedene različice in ukrepi za namestitev popravkov se nanašajo na samostojno nameščene izdelke.

Prednostni ukrepi in sledi v dnevnikih

Prednost imajo prizadete namestitve, dosegljive z interneta, tudi če se uporabnikom običajno prikaže prijavna stran. Opisani dostop do datotek namreč ne zahteva prijave. Kadar takojšnja posodobitev ni izvedljiva, je mogoče namestitev začasno umakniti z interneta ali omejiti zahtevke s pravilom na požarnem zidu za spletne aplikacije oziroma posredniškem strežniku. Za nekatere izdelke so predvidena tudi pravila za Tomcat, za Bitbucket pa posebno pravilo za prepisovanje URL.

Pri teh začasnih ukrepih je pomembno, da zajamejo tudi kodirane oblike poti. Pravilo mora blokirati zaporedje dveh pik tik ob poševnici, povratni poševnici ali dvojnem dvopičju ter ustrezne kodirane različice. Pravila za Tomcat je treba namestiti na vsa vozlišča gruče; delna uvedba lahko pusti drugo vozlišče dostopno. Začasna omejitev dostopa je namenjena času do namestitve popravljene izdaje.

V dostopnih dnevnikih je treba poiskati zahtevke z vzorcem prehajanja med imeniki, zlasti na poteh do spletnih virov in proti imeniku WEB-INF. Zahtevke je smiselno najprej dekodirati, po potrebi dvakrat, nato iskati dve piki neposredno ob znaku /, povratni poševnici ali zaporedju ::. Druga možnost je iskanje po surovih vrsticah z izrazom, ki zajame tudi kodirane oblike.

Ujemanje vzorca je razlog za preiskavo zahtevka in odgovora strežnika, ne samodejen dokaz, da je napadalec prebral datoteko. Pri namestitvah Jira, povezanih s Crowd, pregled vključuje tudi morebitne nepooblaščene spremembe uporabnikov in njihovih pravic. Popravek zapre pot prihodnjim zahtevkom, dnevniki in stanje povezanih storitev pa pokažejo, ali je potrebna še obravnava dogodkov pred posodobitvijo.

Preberite tudi:

• Atlassian AMP agentom dodeli identiteto, ne pa novega odprtega standarda